Supply-Chain-npm-Angriff hat bisher nur $500 an Meme-Token gestohlen
- Der Supply-Chain-Angriff über npm-Pakete stahl in den ersten Stunden nur 497 US-Dollar und erreichte lediglich obskure Meme-Token.
- Der Angriff betraf hauptsächlich MetaMask-Nutzer, die darauf angewiesen waren, per Zufall größere Wallets zu leeren.
- Die Adressen der Angreifer werden nun verfolgt und sind bekannt, wodurch das Bewusstsein für diesen Angriffsvektor im Krypto-Bereich gestärkt wird.
Der kürzlich entdeckte Supply-Chain-Angriff betraf nur wenige Wallets und entwendete rund 500 Dollar in verschiedenen Token. Die Einschleusung schädlichen Codes in npm-JavaScript-Pakete hat jedoch ein großes potenzielles Sicherheitsrisiko im Krypto-Bereich offengelegt.
Der jüngste Supply-Chain-Angriff, der potenziell Krypto-Wallets leerräumen könnte, endete nicht mit dem Diebstahl von Millionen. Basierend auf den aggregierten Wallets, die im Angriff verwendet wurden, waren in den ersten 12 Stunden nach Entdeckung der Schwachstelle nur rund 500 Dollar an Vermögenswerten betroffen.
Wie Cryptopolitan berichtete, zunächst wurden Nutzer aufgefordert, keine Krypto mehr zu senden. Ein globales, permissionless System ließ sich jedoch nicht stoppen, und es wurden erhebliche Verluste erwartet.
Basierend auf Daten von Arkham Intelligence haben die npm-Angriffswallets nur rund 0,22 SOL und andere Meme-Token im Wert von etwa $497gestohlen. Im vergangenen Tag verzeichnete der Krypto-Bereich sogar noch größere Verluste durch den SwissBorg-Börsen- und andere Protokollausfälle. Der Supply-Chain-Angriff gilt jedoch weiterhin als gefährlich, und die geringen Verluste sind darauf zurückzuführen, dass es dem Angreifer nicht gelang, große Transaktionen zu übernehmen.
Supply-Chain-npm-Angriff ähnelt Bybit-Hack
Der Supply-Chain-Angriff ähnelte dem Bybit-Hack darin, dass das Ziel-Wallet im letzten Moment geändert wurde. Der kompromittierte Frontend-Code könnte potenziell Vermögenswerte von Websites ablenken, die einige der kontaminierten JavaScript-Pakete verwendeten.
Die Menschen scheinen den npm-Exploit nicht zu verstehen. Es ist wie bei Bybit, als die Hacker eine Milliarde Dollar durch das Composing der Safe Multisig-Benutzeroberfläche stahlen. Der Frontend-Code von Websites, die die schädlichen Pakete nutzten, ist kompromittiert. Stellen Sie daher sicher, dass Sie Transaktionen sorgfältig überprüfen.
— Beanie (@beaniemaxi) September 8, 2025
Im Fall des Bybit-Hacks war der Frontend-Exploit absichtlich und begrenzt, während die npm-Supply-Chain-Code-Injektion bis zu 2 Milliarden wöchentliche Downloads betroffen hat. Erste Berichte zeigen, dass die Auswirkungen der kontaminierten npm-Pakete begrenzt waren.
Die meisten großen Web3-Plattformen meldeten, dass ihr Code sicher war und der Handel fortgesetzt werden konnte. Die meisten gestohlenen Token befanden sich auf Ethereum und umfassten BRETT, DORKY, VISTA und GONDOLA, wobei kein ETH entwendet wurde.
Der Angriff betraf die Wallets einiger kleinerer DEX-Händler und Uniswap Liquiditätsanbieter, jedoch nicht in großem Maßstab, was zeigt, dass die Apps selbst nicht kompromittiert wurden. Das Risiko lag beim Endkunden, der die Transaktion ohne ausreichende manuelle Überprüfung signierte.
Ist Krypto immer noch vom npm-Angriff bedroht?
Krypto-Wallets sind im Allgemeinen von Supply-Chain-Angriffen bedroht. Das Potenzial, Token zu stehlen, hängt jedoch von den Apps selbst und einem relativ kleinen Zeitfenster zur Durchführung des Exploits ab.
Die Beispiele für schädliche Krypto-stehlende Code wurden weit verbreitet veröffentlicht, was App-Entwickler potenziell schützt.
Die Angriffe erfolgten nach neuen Downloads, was bedeutet, dass die Schwachstellen in einer begrenzten Anzahl von Krypto-Apps eingeschleust wurden. Stunden nach dem Angriff wurde auch klar, dass MetaMask-Nutzer am stärksten betroffen waren, ohne dass das Desktop-Wallet-Ökosystem gezielt angegriffen wurde.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hristina Vasileva
Hristina Vasileva spezialisiert sich auf Nachrichten zu DeFi, Wirtschaft und Ökonomie. Sie schloss ihr Studium an der Universität Sofia mit einem Master in Philosophie ab, nachdem sie einen vierjährigen Bachelor in Betriebswirtschaftslehre, Journalismus und Massenkommunikation absolviert hatte. Sie arbeitete für eine der führenden Zeitungen des Landes und berichtete über Rohstoffe und Unternehmensergebnisse. Derzeit ist Hristina freie Autorin bei Cryptopolitan.
